severity

アドバイザリーID : cisco-sa-20120215-nxos

初公開日 : 2012-02-15 16:00

最終更新日 : 2012-03-26 21:02

バージョン 2.0 : Final

回避策 : No Workarounds available

Cisco バグ ID : CSCtj01991 CSCti23447 CSCti49507

Download CVRF

Email

日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。

概要

Cisco NX-OSソフトウェアは、Cisco Nexus 1000v、1010、5000、および7000シリーズスイッチと、IPスタックが不正なIPパケットを処理すると、該当バージョンのCisco NX-OSソフトウェアを実行しているNexus 1000VシリーズスイッチのCisco Virtual Security Gateway(VSG)のリロードを引き起こすこす可能性のあるのあるDoS脆弱性のののの影響をを受けます。

シスコはこの脆弱性に対処するソフトウェアアップデートをリリースしています。

このアドバイザリは、次のリンクより確認できます。

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20120215-nxos

該当製品

脆弱性のある製品

該当するバージョンのCisco NX-OSソフトウェアを実行しているCisco Nexus 1000v、1010、5000、および7000シリーズスイッチ、およびCisco VSG for Nexus 1000Vシリーズスイッチは、この脆弱性の影響を受けます。この脆弱性はオペレーティングシステムのIPスタックに存在するため、IPスタックが提供するサービスを利用してIPパケットを処理する機能が影響を受けます。

First Fixed Releaseバージョンよりも前のCisco NX-OSソフトウェアバージョンが影響を受けます。修正済みバージョンの詳細については、「ソフトウェアバージョンと修正」セクションを参照してください。

Cisco Nexusスイッチで実行されているCisco NX-OSソフトウェアのバージョンを確認するには、管理者がデバイスにログインし、show versionコマンドを発行してシステムバナーを表示します。次の例は、Cisco NX-OSリリース5.1(3)が稼働するデバイスで実行されているキックスタートイメージとシステムイメージのバージョン情報を表示する方法を示しています。

switch# show version

Cisco Nexus Operating System (NX-OS) Software

TAC support: http://www.cisco.com/tac

Documents: http://www.cisco.com/en/US/products/ps9372/tsd_products_support_serie

s_home.html

Copyright (c) 2002-2011, Cisco Systems, Inc. All rights reserved.

The copyrights to certain works contained in this software are

owned by other third parties and used and distributed under

license. Certain components of this software are licensed under

the GNU General Public License (GPL) version 2.0 or the GNU

Lesser General Public License (LGPL) Version 2.1. A copy of each

such license is available at

http://www.opensource.org/licenses/gpl-2.0.php and

http://www.opensource.org/licenses/lgpl-2.1.php

Software

BIOS:      version 3.22.0

kickstart: version 5.1(3)

system:    version 5.1(3)

[...]

脆弱性を含んでいないことが確認された製品

Cisco Nexus 1000V、1010、5000、および7000シリーズスイッチ、およびNexus 1000Vシリーズスイッチ用Cisco VSG以外の製品のCisco NX-OSソフトウェアは、この脆弱性の影響を受けません。特に、Cisco NX-OSソフトウェアが稼働する次の製品は影響を受けません。

- Cisco Nexus 2000 シリーズ スイッチ ページ

- Cisco Nexus 3000 Series Switches

- Cisco Nexus 4000 シリーズ スイッチ

- Unified Computing System（UCS）

- Cisco MDS 9000 Series Multilayer Switches

他のシスコ製品において、このアドバイザリの影響を受けるものは現在確認されていません。

詳細

Cisco NX-OSソフトウェアは、シスコのデータセンタースイッチングポートフォリオの一部であるシスコ製品で使用されるネットワークオペレーティングシステムです。これには、Cisco Nexus 5000シリーズやCisco Nexus 7000シリーズなどのデータセンタースイッチが含まれます。

Cisco Nexus 1000V、1010、5000、および7000シリーズスイッチ用のCisco NX-OSソフトウェアの特定のバージョン、およびNexus 1000Vシリーズスイッチ用のCisco Virtual Security Gateway(VSG)は、オペレーティングシステムのIPスタックが不正なIPパケットを処理し、パケットからレイヤ4（UDPまたはTCP）情報を取得するするする際に、該当デバイスののリロードが発生するするするする脆弱性のの影響をを受します。

この脆弱性はオペレーティングシステムのIPスタックに存在し、IPスタックが提供するサービスを使用してIPパケットを解析する機能が影響を受けます。たとえば、次のシナリオは、設定された機能を実行するにはレイヤ4（UDPまたはTCP）情報が必要であることを意味するため、この脆弱性をトリガーする可能性があります。

- スイッチによって通常転送される不正な形式のトランジットIPパケットが受信され、Time-to-live（TTL；存続可能時間）は1です。この場合、ICMPエラーメッセージ（時間超過）を生成する必要があります。このICMPメッセージの生成中に、この不具合が引き起こされる可能性があります。

- ポリシーベースルーティングが使用されており、ルーティングの決定を行うには、着信パケットを解析する必要があります。パケットが不正なTCPセグメントであり、ルーティングポリシーがルーティング決定にTCP情報を使用する場合、この不具合が引き起こされる可能性があります。

- 出力アクセスコントロールリスト(ACL)がインターフェイスに適用され、そのインターフェイスを介して転送する必要がある不正なIPパケットが受信されます。

注：このリストは完全なものではありません。このドキュメントで説明されている脆弱性を引き起こすことが確認されているシナリオの一部が含まれています。不正なIPパケットのレイヤ4情報にアクセスする必要がある他のシナリオでも、脆弱性が引き起こされる可能性があります。

この脆弱性は、Through-the-Device(Transit)トラフィックとTo-the-Deviceトラフィックの両方によって引き起こされる可能性があります。IPアドレスが設定された該当Cisco Nexusスイッチは、IPアドレスが管理のためだけに使用され、デバイスが純粋なレイヤ2スイッチとして設定されている（つまり、レイヤ3パケット転送が行われていない）場合でも、この脆弱性の影響を受けます。

この脆弱性が原因でシステムがリロードされると、「netstack」と呼ばれるプロセスが予期せず終了し、次のメッセージがシステムログに記録されます。

2012 Feb 02 20:32:15 NX-7010 %SYSMGR-2-SERVICE_CRASHED: Service "netstack" (PID 4335)

hasn't caught signal 11 (core will be saved).

この脆弱性は、Cisco Bug ID CSCti23447(登録ユーザ専用)およびCSCti49507(登録ユーザ専用)（Cisco Nexus 1000vおよび7000シリーズ）およびCSCtj01991(登録ユーザ専用)（Cisco Nexus 5000シリーズ）として文書化され、Common Vulnerabilities and Exposures(CVE)がに割されていますID CVE-2012-0352

注：Cisco Nexus 1000vおよび7000シリーズスイッチでは、この脆弱性はCisco Bug CSCti23447で部分的に修正されているため、2つのCisco Bug IDを使用してこの脆弱性を追跡します。修正はCSCti49507で完了しています。Cisco Nexus 5000シリーズスイッチの場合、この脆弱性はCisco Bug CSCtj01991

回避策

このドキュメントで説明されている脆弱性に対する回避策はありません。

修正済みソフトウェア

ソフトウェアのアップグレードを検討する場合は、http://www.cisco.com/go/psirt の Cisco Security Advisories and Responses アーカイブや後続のアドバイザリを参照して、侵害を受ける可能性と完全なアップグレード ソリューションを確認してください。

いずれの場合も、アップグレードするデバイスに十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新規リリースで引き続き正しくサポートされていることを十分に確認してください。不明な点については、Cisco Technical Assistance Center（TAC）もしくは契約しているメンテナンスプロバイダーにお問い合わせください。

Cisco NX-OSソフトウェアの表（以下）の各行には、Cisco NX-OSソフトウェアのリリーストレインが記載されています。特定のリリーストレインに脆弱性が存在する場合、修正を含む最初のリリース（可能な場合、修正のリリース予定日とともに）が表の「最初の修正リリース」列に一覧表示されます。特定の列のリリースより前（First Fixed Releaseより前）の特定のトレインのリリースを実行しているデバイスには、脆弱性が存在することが確認されています。

Platform

メジャー リリース

First Fixed Release（修正された最初のリリース）

Nexus 1000Vシリーズスイッチ向けCisco VSG

4.(x)

4.2(1)VSG1(3.1)

Nexus 1000vシリーズスイッチ

4.(x)

4.2(1)SV1(4b)（2012年4月下旬に提供開始）
4.2(1)SV1(5.1)

Nexus 1010 シリーズ スイッチ

4.(x)

4.2(1)SP1(4)

Nexus 5000 シリーズ スイッチ

4.(x)

脆弱性あり、5.xに移行

5.0.x

5.0(2)N1(1)

5.1.x

脆弱性なし

Nexus 7000 シリーズ スイッチ

4.2.x

4.2.8

5.0.x

5.0.5

5.1.x

5.1.1

5.2.x

脆弱性なし

6.x

脆弱性なし

Cisco NX-OSソフトウェアは、次のURLからダウンロードできます。

http://www.cisco.com/cisco/software/find.html?q=nx-os

不正利用事例と公式発表

Cisco Product Security Incident Response Team（PSIRT）は、本アドバイザリに記載されている脆弱性の不正利用事例やその公表を確認していません。

この脆弱性は、カスタマーサポートケースの調査中に発見されました。

URL

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20120215-nxos

改訂履歴

Revision 2.0

2012年3月26日

Nexus 1010とVSGを脆弱性のある製品として追加し、それらの修正済みソフトウェア情報を含めました。Nexus 1000vの最初の修正済みリリースとして4.2(1)SV1(4b)を追加。

リビジョン 1.1

2012年2月17日

Nexus 1000vシリーズスイッチ用の4.xリリースが脆弱性として追加されました。

リビジョン 1.0

2012年2月15日

初回公開リリース

利用規約

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。

本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。